又一村花園俱樂部資料外洩逾9000人受影響 私隱公署裁定違規並發執行通知

個人資料私隱專員公署（下稱「私隱公署」）近日就又一村花園俱樂部（下稱「俱樂部」）發生的資料外洩事故，發表了詳細的調查報告。公署在報告中裁定，該俱樂部未能採取所有切實可行的步驟，以確保其所管有的個人資料受到保障，此舉違反了《個人資料（私隱）條例》的相關規定。是次事故共涉及多達9045名人士的個人資料外洩，情況備受市場關注。 根據調查報告，事件源於俱樂部存放於伺服器內的管理系統檔案，遭勒索軟件惡意加密，導致整個系統無法正常運作。受影響的個人資料範疇廣泛，包括姓名、身份證號碼或護照號碼、出生日期、電郵地址、聯絡電話及住址等敏感資訊。 私隱專員鍾麗玲對事件表示失望，並強調機構有責任妥善保護其所管有的個人資料。鑑於俱樂部違反《私隱條例》規定，私隱公署已向其送達執行通知，指示該俱樂部必須採取一系列措施，以糾正違規事項，並防止同類事故再次發生。報告亦提及，俱樂部事發後已通知受影響人士，並採取了多項補救措施。 公署深入調查揭示，這次資料外洩事故的缺失主要歸咎於俱樂部在資訊保安方面的多重漏洞。鍾麗玲指出，俱樂部不僅欠缺機構層面的資訊保安措施，同時亦使用過時且存在保安漏洞的遠端存取軟件。此外，伺服器的遠端存取缺乏必要的用户身份認證機制，以及俱樂部使用過時的防毒軟件及防火牆，均大幅增加其系統面臨網絡攻擊的風險。更甚者，俱樂部被指過長地保留個人資料，包括將逾800名前會員及逾3000名附屬卡持有人的個人資料保留超過7年，遠超合理所需。 為此，鍾麗玲提醒各機構，會員及客户資料不僅是機構的重要資產，更是網絡攻擊的高風險目標。她敦促機構應採取主動積極的策略，定期檢視其資訊系統保安措施的成效，並投放足夠資源，以確保會員及客户的個人資料得到全面保障。此舉不僅是為遵守《私隱條例》的規定，更是為符合資料當事人對個人資料保護的合理期望。